Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7795 portant modification de l

(4)prévoit dorénavant ce qui suit : « Les établissements visés au paragraphe 1 er, ainsi que les restaurants et bars des établissements d'hébergement doivent obligatoirement tenir un registre de leurs clients qui contient les données suivantes : 1° le(

1. s)prénom(
2. s)et nom du client déclarant ; 2° l'adresse de résidence du client déclarant ; 3° un numéro de téléphone du client déclarant, et le cas échéant, une adresse e-maiL Ces données doivent être collectées et enregistrées par les établissements à l'arrivée des clients et conservées pendant une durée de trois semaines à partir de la collecte, afin de faciliter toute recherche de contact ultérieure en cas de contagion épidémiologique. L'accès des établissements visés au paragraphe 1er et des restaurants et bars des établissements d'hébergement est conditionné à la communication par le client des données visées à l'alinéa ler . CNPII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7795 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 1 /5 Ces données sont communiquées, conformément à l'article 5, paragraphe 2, dernier alinéa, au directeur de la Santé ou à son délégué en cas d'exposition à haut risque. Elles doivent être supprimées après trois semaines par les établissements et ne peuvent en aucun cas être utilisées à d'autres fins que celles prévues à l'alinéa précédent. » En vertu du nouvel alinéa ajouté par les auteurs du projet de loi n°7795 à l'article 5 paragraphe

(2)de la loi modifiée du 17 juillet 2020, les responsables des établissements de restauration et de débit de boissons et des établissements d'hébergement qui disposent d'un restaurant ou d'un bar (ci-après : « les établissements ») doivent transmettre « sur demande, au directeur de la Santé ou à son délégué les données prévues à l'article 2, paragraphe 4, des personnes qui ont subi une exposition à haut risque en raison d'une des situations visées à l'article ler, point 5

1. » Le commentaire des articles ne donne pas de précisions supplémentaires sur les nouvelles dispositions précitées. La Commission nationale tient à souligner à titre préliminaire que la collecte et l'enregistrement des données précitées dans le registre que doivent tenir les établissements (ci-après : le registre »), qu'il s'agisse d'un registre sous forme papier ou sous forme électronique, constitue un traitement de données à caractère personnel soumis aux règles prévues par le RGPD.
2. Quant au principe de la limitation des finalités En vertu de l'article 5 paragraphe

(1)lettre b) du RGPD, les finalités d'un traitement de données doivent être déterminées, explicites et légitimes. Il ressort des nouveaux articles 2 paragraphe

(4)et 5 paragraphe

(2)dernier alinéa de la loi modifiée du 17 juillet 2020 que la collecte par les établissements des données à caractère personnel des clients et l'enregistrement subséquente dans leur registre servent à faciliter toute recherche de contact ultérieure par la Direction de la Santé des personnes qui ont subi une exposition à haut risque en raison d'une des situations visées à l'article 1 er, point 5° de ladite loi , comme par exemple avoir eu un contact, sans port de masque, face-à-face pendant plus de quinze minutes et à moins de deux mètres avec une personne infectée. La CNPD ne dispose pas des compétences scientifiques et épidémiologiques nécessaires afin d'évaluer la plus-value que présente la tenue d'un tel registre en termes de contact tracing mis en œuvre par la Direction de la Santé. Néanmoins, dans la mesure où les conditions d'ouverture des terrasses sont restrictives' et en tenant compte de ce que les personnes infectées sont de toute façon obligées en vertu de l'article 5 paragraphe

(1)de la loi modifiée du 17 juillet 2020 de renseigner la Direction de la santé sur l'identité des personnes avec lesquelles elles ont eu dans les dernières quarante-huit heures des contacts susceptibles de générer un haut risque d'infection, elle se demande dans quel cas précis la Direction de la Santé demanderait à un établissement de lui transmettre des données à caractère personnel figurant dans son registre. La Commission nationale félicite les auteurs du projet de loi n°7795 sous examen d'avoir prévu dans le corps du texte2 que les données collectées par les établissements ne peuvent en aucun cas être utilisées à d'autres fins que la communication, conformément à l'article 5, paragraphe 2, dernier alinéa de la loi modifiée du 17 juillet 2020, à la Direction de la Santé en cas d'exposition à haut risque. Toute autre utilisation, comme par exemple à des fins de 1 Voir le nouvel article 2 paragraphe

(1)de la loi modifiée du 17 juillet 2020, qui prévoit par exemple que chaque table ne peut accueillir que deux personnes (sauf lorsque les personnes font partie d'un même ménage ou cohabitent) et que le port d'un masque est obligatoire pour le client lorsqu'il n'est pas assis à table. 2 Au nouvel article 2 paragraphe

(4)dernier alinéa de la loi modifiée du 17 juillet

1. [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7795 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-
2. 2/5 marketing ou de prospection, sera donc strictement interdite et les données collectées dans le contexte de la pandémie ne pourront en aucun cas être ajoutées dans la base de données des clients, les cas échéant, déjà existante dans l'établissement, ni être fournies à d'autres entreprises.
3. Quant au principe de minimisation des données En fonction du principe de minimisation des données (article 5 paragraphe

(1)lettre c) du RGPD), les données personnelles collectées doivent être limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. A cet égard, la CNPD se demande d'un côté si toutes les données personnelles que les établissements sont obligés de collecter, c'est-à-dire le prénom, nom, l'adresse de résidence, un numéro de téléphone, et le cas échéant, une adresse e-mail du client déclarant, sont vraiment nécessaire à la finalité poursuivie du traçage des contacts. Est-ce que la collecte du nom et prénom, ainsi qu'un seul moyen de contact (téléphone ou adresse e-mail) ne serait pas suffisante dans ce contexte ? D'un autre côté, si le but de la tenue du registre et d'une éventuelle transmission des données à caractère personnel y figurant par les établissements à la Direction de la Santé, est d'identifier les clients, voire le personnel, qui étaient en contact direct avec une personne infectée, faute de précision dans le commentaire des articles, la CNPD se pose la question si l'indication du jour, de l'heure d'arrivée du client et éventuellement le numéro de table serait nécessaire au regard de la finalité du contact tracing. En plus, la date indiquée à laquelle les données ont été collectées est primordiale en vue de pouvoir déterminer la date de suppression des données après trois semaines par l'établissement, conformément au nouvel article 2 paragraphe

(4)alinéa 2 de la loi modifiée du 17 juillet 2020. La CNPD se demande par ailleurs si l'obligation de communication des données visées à l'alinéa ler du nouveau paragraphe

(2)de l'article 2 de la loi modifiée du 17 juillet 2020 s'impose à chaque personne assise sur une même table ou uniquement à une personne par table. Finalement, la Commission nationale tient à insister que lors de la collecte des données, les établissements ne peuvent pas procéder à un contrôle d'identité de la personne, par exemple en demandant de produire un document d'identité. Par contre, elle estime qu'une sorte de « Plausibilitätsprüfung »3 serait approprié, dans le but de contrôler uniquement si les données indiquées sont complètes, plausibles et non pas imaginaires à première vue (par exemple si un client indiquerait comme adresse email mickeymouse@...). 3. Quant au principe de la limitation de la conservation des données En ce qui concerne la durée de conservation des données à caractère personnel conformément à l'article 5 paragraphe

(1)lettre e) du RGPD, ladite durée ne doit pas excéder celle qui nécessaire au regard des finalités pour lesquelles les données sont traitées. L'alinéa 2 du nouvel article 2 paragraphe

(4)de la loi modifiée du 17 juillet 2020 prévoit dans ce contexte que les données collectées et enregistrées par les établissements à l'arrivée des clients doivent être conservées pendant une durée de trois semaines à partir de leur collecte. 3 Voir « Achtzehnte Corona-Bekämpfungsverordnung Rheintand-Pfalz (18. CoBeLVO) vom 20. März 2021 », paragraphe

(1), alinéa 8, première phrase. [ CNPCII Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7795 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 3/5 La CNPD note toutefois que les personnes infectées sont uniquement obligées en vertu de l'article 5 paragraphe

(1)de la loi modifiée du 17 juillet 2020 de renseigner la Direction de la santé sur l'identité des personnes avec lesquelles elles ont eu des contacts susceptibles de générer un haut risque d'infection « dans la période qui ne peut être supérieure à quarantehuit heures respectivement avant l'apparition des symptômes ou avant le résultat positif d'un test diagnostique de l'infection au virus SARS-CoV-

1. » Comme susmentionné, si la finalité de la tenue du registre et d'une éventuelle transmission des données à caractère personnel y figurant à la Direction de la Santé, est d'identifier les individus qui étaient en contact avec une personne infectée, la CNPD se demande pourquoi les établissements sont tenus de conserver leurs registres pendant trois semaines, alors que le traçage des contacts mis en œuvre par la Direction de la Santé se limite aux deux jours précédant l'apparition des symptômes ou le résultat positif d'un test diagnostique de l'infection au virus SARS-CoV-
2. En l'absence de précisions dans le commentaire des articles, la CNPD ne peut pas apprécier si la durée de conservation de trois semaines est proportionnée par rapport à la finalité poursuivie. Par ailleurs, la CNPD constate que la durée de conservation figure à la fois à l'alinéa 2, ainsi qu'a l'alinéa 3 du nouvel article 2 paragraphe

(4)alinéa 2 de la loi modifiée du 17 juillet

1. Ainsi, elle suggère de la biffer à un des deux endroits.
2. Quant au droit à l'information des personnes concernées Conformément à l'article 13 du RGPD, toute une série d'informations est à fournir à la personne concernée au moment de la collecte des données à caractère personnel auprès d'elle. Cette information doit ainsi être délivrée aux clients au moment où les établissements collectent leurs données, et ceci sous un format facilement accessible (comme par exemple une mention d'information intégrée sur le formulaire papier / électronique à compléter par le client ou un panneau d'affichage visible à l'entrée de l'établissement). Cette mention d'information doit par ailleurs être rédigée en des termes précises et simples.4 Sous réserve de ses commentaires susmentionnés, la CNPD est d'avis que cette mention devrait au moins comprendre les éléments suivants : l'identité et les coordonnées de l'établissement ; l'objectif de la collecte des données (faciliter toute recherche de contact ultérieure en cas de contagion épidémiologique par la Direction de la Santé) ; la base juridique du traitement (la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19) ; la durée de conservation des données (trois semaines) ; les droits dont disposent les clients (notamment le droit d'accès et de rectification, ainsi que le droit d'introduire une réclamation auprès de la CNPD) ; les éventuelles destinataires (sur demande à la Direction de la santé concernant les personnes qui ont subi une exposition à haut risque). Comme ex gé par l'article 12 paragraphe

(1)du RGPD. [ CNP1 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7795 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 4/5 5. Quant aux mesures de sécurité Conformément à l'article 32 paragraphe

(1)du RGPD, le responsable du traitement doit mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque pour les droits et libertés des personnes concernées. Plus concrètement, ces mesures doivent garantir que les données ne seront accessibles qu'aux personnes autorisées (confidentialité), qu'elles seront disponibles en cas de demande par la Direction de la santé (disponibilité) et qu'elles n'auront pas été modifiées après leur collecte (intégrité). En cas de tenue d'un registre sous format papier, il serait recommandé de mettre à disposition des formulaires individuels que les clients peuvent remplir et remettre directement à l'établissement. Par contre, si l'établissement souhaite travailler avec un seul formulaire reprenant l'ensemble des données de ses différents clients, il doit en principe le remplir luimême (sur les indications verbales des clients). Les formulaires remplis (constituant le registre) devraient être conservés dans un lieu sécurisé (par exemple une armoire ou pièce fermée à clef) et afin de garantir la confidentialité des données collectées, l'établissement devra éviter que des clients puissent, le cas échéant, avoir accès aux coordonnées d'autres clients présents au même moment. En cas de tenue d'un registre sous format électronique, la CNPD recommande de sécuriser l'accès au système d'information notamment avec un mot de passe « robuste » et de ne pas stocker les données collectées sur des matériels non sécurisés (comme par exemple des clés USB sans mots de passe). Ainsi décidé à Belvaux en date du 29 mars 2021. La Commission nationale pour la protection des données Tine Annemarie Larsen Digitally signed by Tine Annemarie Larsen Date: 2021.03.29 13:44:07 +0200' Tine A. Larsen Présidente [ CNPII Digitally signed by Digitally signed by CHRISTOPHE CHRISTOPHE NICOLAS Thierry Thierry Lallemang BUSCHMANN NICOLAS 2021.03.29 ., Date: 202103.29 Lallernang Date: BUSCHMANN 13:49:21 +0200' 13:53:34 +0200' Marc Ernest Jean-Pierre P Fe rte Le rnmer D:5 tea2502,1023: 90 Lemmer , Christophe Buschmann Commissaire Marc Lemmer Commissaire Thierry Lallemang Commissaire Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7795 portant modification de la loi modifiée du 17 juillet 2020 sur les mesures de lutte contre la pandémie Covid-19. 5/5